Icann keurt gebruik dnssec voor .org-domeinen goed

Het .org-domein zal het eerste generieke tld zijn dat gebruik maakt van dnssec, een beveiligingsprotocol voor dns-servers. De organisatie die de .org-domeinen beheert heeft hiervoor toestemming van de Icann gekregen.

Icann logoHet dnssec-protocol moet veiliger zijn dan de nu gebruikte dns-protocollen: zo moet dnssec ongevoelig zijn voor de onlangs opgedoken kwetsbaarheden die cache poisoning mogelijk maken. Om de voordelen van dsnsec te kunnen gebruiken, vroeg de PIR, de organisatie die voor het beheer van .org-domeinen verantwoordelijk is, toestemming aan de Icann om over te stappen. De Icann stemde hier onder voorwaarden mee in. Daarmee zal .org het eerste gtld worden dat dnssec gebruikt. Verschillende landendomeinen zijn al op het protocol overgestapt.

PIR logoDe PIR zou een pionierende functie voor andere generieke tld's moeten krijgen en de controlerende instanties van die domeinen moeten helpen om dnssec te implementeren. Het veiligere protocol voor de vertaling van domeinnamen maakt onder meer gebruik van versleuteling van gegevens om cache poisoning en andere aanvallen te voorkomen. De ontwikkeling van het protocol werd in 1997 gestart, maar kende een aantal problemen, zoals het opschalen naar systemen die groot genoeg zijn voor het beheer van tld's. Een vraag die nog niet is beantwoord, is wie de encryptiesleutels beheert waarmee het dns-verkeer beveiligd moet worden. Dat zou logischerwijs de Icann zijn, waardoor discussies over de Amerikaanse zeggenschap over de rootservers weer op zouden laaien.

Door Willem de Moor

Redacteur

23-07-2008 • 19:00

16 Linkedin Whatsapp

Lees meer

Dot.com-tld viert 25e verjaardag
Dot.com-tld viert 25e verjaardag Nieuws van 15 maart 2010

Reacties (16)

16
12
2
1
0
0
Wijzig sortering
Dit is een stap in de goede richting, zodra het beheer van de encryptiesleutels goed geregeld is, maar heb ik ook wat aan?

Zolang de door mij gebruikte DNS server (bijvoorbeeld die van mijn ISP) nog geen DNSSec gebruikt kan ik dus nog steeds last hebben van cache poisoning. Het is dus ook zaak dat de diverse servers (van ISP's en bedrijven) gebruik gaan maken van DNSSec en dat zal pas gebeuren als 't oude protocol ook daadwerkelijk onbruikbaar geworden is.
het is waar wat je zegt; een aanval op een lokale dns server zou jou, en ander klanten nog altijd kunnen benadelen. Maar als een dns server van een tld beheerder succesvol aangevallen wordt, bedreigt dat potentieel miljoenen internetgebruikers.

Ik zeg dan ook: eindelijk!
Maar als een dns server van een tld beheerder succesvol aangevallen wordt, bedreigt dat potentieel miljoenen internetgebruikers.
Het gaat om cache poisoning, de ROOT-servers en TLD-beheerders serveren toch alleen authoritative zones?

* Little Penguin weet toch echt zeker dat niet iedereen kan cachen :)
Het gaat om cache poisoning, de ROOT-servers en TLD-beheerders serveren toch alleen authoritative zones?
Klopt helemaal, maar door DNSSEC toe te passen op de caching nameservers van ISP's kan het zo zijn dat het helemaal onmogelijk is om 'zooi' te injecteren. Althans, dat is het principe, ik ken maar weinig mensen die echt gelukkig worden van DNSSEC. (in ISP land)

Maar, je hebt gelijk, de ROOT nameservers (de TLD servers zijn dat ook) houden alleen bij waar je moet zijn, met glue records.

een request voor pietje.nl gaat dus naar DNS ROOT ( . ) -> DNS SIDN -> DNS van pietje.nl (bijvoorbeeld ns.isp.nl)
je hoeft niet meteen uit te gaan van een attack zoals recentelijk bekend geworden is. Eeen aanval is heel breed te interpreteren.
Het "gewone" DNS protocol is unencrypted en onveilig. Dat maakt allerhande leukigheidjes mogelijk. Natuurlijk is het waar dta er al heel wat gesleuted is aan het protocol om serieuze flaws eruit te halen, maar het blijft een onvilig design dat opgelapt wordt.
Door simpelweg over te stappen naar een voor veilighied ontwikkeld protocol ontwijk je in één klap een hoop (mogelijke) problemen.
Zolang de DNS server van je ISP nog niet gepatchted is wordt geadviseerd gebruik te maken van de gratis diensten van openDNS, hiermee ben je veilig voor DNS cache poisoning.
Die server van openDNS is behoorlijk snel, bedankt voor de tip.
Ik bied me vrijwillig aan om voor alle ISP's de zone's van keys te voorzien :P
Dit is totaal buiten de kwestie.
Brein gaat echt geen DNS server hacken om TPB neer te halen ...
Anoniem: 149075
@GoBieN-Be23 juli 2008 19:14
Ik dacht ze zoiets eerder ook geprobeerd hadden... of een ddos ofzo ?
Nee, dit bedoelen ze.. DNS cache poisoning; gewoon het misbruiken van de open DNS om onzin te laten voorschotelen aan de gebruikers. Bijvoorbeeld zoals hier gedemonstreerd is, gisteren.

Ze zorgen ervoor dat een 'echte' DNS gebruik maakt van hun eigen nep-DNS, en op die manier proberen ze er onzin in te zetten.

EDIT:
En dan gebruiken ze nu dus dit om het te voorkomen; en weer een stapje verder te zijn :)

[Reactie gewijzigd door vmsw op 23 juli 2008 19:31]

Dat was in ieder geval niet stichting Brein, maar waarschijnlijk bedoel je de DDOS op de Revision3 servers. Deze is door Mediadefender uitgevoerd en heeft verder niets met DNS servers te maken ofzo. Dus dat is verder redelijk off-topic. ;)

Hier gaat het over wat vmsw boven mij goed omschrijft.

Op dit item kan niet meer gereageerd worden.

Tweakers maakt gebruik van cookies

Tweakers plaatst functionele en analytische cookies voor het functioneren van de website en het verbeteren van de website-ervaring. Deze cookies zijn noodzakelijk. Om op Tweakers relevantere advertenties te tonen en om ingesloten content van derden te tonen (bijvoorbeeld video's), vragen we je toestemming. Via ingesloten content kunnen derde partijen diensten leveren en verbeteren, bezoekersstatistieken bijhouden, gepersonaliseerde content tonen, gerichte advertenties tonen en gebruikersprofielen opbouwen. Hiervoor worden apparaatgegevens, IP-adres, geolocatie en surfgedrag vastgelegd.

Meer informatie vind je in ons cookiebeleid.

Sluiten

Toestemming beheren

Hieronder kun je per doeleinde of partij toestemming geven of intrekken. Meer informatie vind je in ons cookiebeleid.

Functioneel en analytisch

Deze cookies zijn noodzakelijk voor het functioneren van de website en het verbeteren van de website-ervaring. Klik op het informatie-icoon voor meer informatie. Meer details

janee

    Relevantere advertenties

    Dit beperkt het aantal keer dat dezelfde advertentie getoond wordt (frequency capping) en maakt het mogelijk om binnen Tweakers contextuele advertenties te tonen op basis van pagina's die je hebt bezocht. Meer details

    Tweakers genereert een willekeurige unieke code als identifier. Deze data wordt niet gedeeld met adverteerders of andere derde partijen en je kunt niet buiten Tweakers gevolgd worden. Indien je bent ingelogd, wordt deze identifier gekoppeld aan je account. Indien je niet bent ingelogd, wordt deze identifier gekoppeld aan je sessie die maximaal 4 maanden actief blijft. Je kunt deze toestemming te allen tijde intrekken.

    Ingesloten content van derden

    Deze cookies kunnen door derde partijen geplaatst worden via ingesloten content. Klik op het informatie-icoon voor meer informatie over de verwerkingsdoeleinden. Meer details

    janee